Directieverslag

Weerbaarder dankzij DORA

DORA, de Digital Operational Resilience Act, is een Europese wet die financiële instellingen weerbaarder maakt tegen cyberdreigingen. In 2024 zetten we grote stappen in de implementatie van deze wet die in januari 2025 ingaat. We vertaalden DORA naar beleid, procesbeschrijvingen, procedures en aanvullende producten. Verder scherpten we bestaande beheersmaatregelen aan om ze in lijn te brengen met DORA en voegden we nieuwe beheersmaatregelen toe.

Lifecyclemanagement: huidige ICT kan nog zeker 5 jaar mee

Met het programma Lifecyclemanagement zorgden we ervoor dat we met ons huidig ICT-landschap nog zeker tot 2030 vooruit kunnen. Totdat de laatste klant minimaal 2 jaar over is op het nieuwe stelsel – en dus ook op de nieuwe infrastructuur – moet het huidige ICT-landschap net zo goed, stabiel en betrouwbaar blijven functioneren als het altijd gedaan heeft. In 2024 rondden we het groot onderhoud en het programma af.

Gemiddelde én goede scores op medewerkerstevredenheid

In 2024 hebben we de medewerkersbetrokkenheid voor het eerst via de jaarlijkse cultuurscan gemeten. De score was 50 (op een schaal van 1 tot 100), wat betekent dat we gemiddeld scoren in de benchmark met deelnemende bedrijven. Onze ambitie ligt echter hoger en de komende jaren willen we verder groeien.

Tegelijk zien we in de wekelijkse eMood-metingen goede beoordelingen van onze medewerkers, ondanks de toegenomen werkdruk. Zo gaven ze gemiddeld een 7,4 voor werkgeluk, een 7,0 voor vitaliteit en een 7,2 voor productiviteit. Onze vitaliteitsscan scoort daarnaast bovengemiddeld op steun van collega’s en leidinggevenden, toekomstzekerheid en veiligheid op de werkvloer. Wel zien we lagere scores op variatie in werkzaamheden, veerkracht, mobiliteit en stress. Ook zagen we een wat verhoogd ziekteverzuim en personeelsverloop. Hier gaan we in 2025 aan werken (zie ook vooruitblik).

Programma Wet toekomst pensioenen (Wtp) in een nieuwe fase

Aan het begin van 2024 veranderden we de aansturing van ons programma Wtp, omdat we in een nieuwe fase waren beland. Een fase waarin de daadwerkelijke implementatie startte: de realisatie van de solidaire premieregeling (spr), de configuratie van het nieuwe administratiesysteem, het uitvoeren van proefmigraties en het uitwerken van de implementatieplannen. Vanwege het veranderende karakter was er ook een andere manier van besturen nodig, met meer focus op realisatie, transitie en implementatie. Inclusief een nieuwe programmadirecteur.

Eerste plannen ingediend bij DNB en AFM

In juni diende Stap – voor hun Pensioenkring Holland Casino – als eerste klant het implementatie-, communicatieplan en invaarsjabloon in bij DNB en AFM. Dat leverde Stap een ruime voldoende op van de AFM voor het communicatieplan, dat ze ontwikkelden op basis van ons format. Na goedkeuring van het implementatieplan door DNB later in het jaar, heeft Pensioenkring Holland Casino groen licht om in 2025 over te gaan op de nieuwe regeling.

In heel 2024 hebben 3 pensioenfondsen het implementatieplan volledig ingediend. Nog eens 2 fondsen dienden dit jaar het plan deels in – op risicohouding en datakwaliteit – en 1 fonds alleen op datakwaliteit.

Planning Wtp-transitie aangepast en verfijnd: ‘plateauplanning’

Eind 2024 lanceerden we de ‘plateauplanning’. Dit is een aanpak met een planning en organisatie per transitiejaar, waarmee we de complexiteit van de verschillende implementaties beter kunnen managen. Elk plateau krijgt hierin een eigen planning, met specifieke doelen. We schalen geleidelijk op en werken continu aan een evenwichtige verdeling van implementaties. Daarbij houden we rekening met de beschikbare capaciteit, de complexiteit, het volume en de transitiegereedheid van elke klant. Met de plateauplanning kunnen we gericht werken aan de voorbereiding per jaarlaag en plateau.

Impact op de eigen organisatie: goed voorbereid met scenario’s en opleidingen

In 2024 verschoof de planning van de eerste Wtp-implementaties bij onze klanten een aantal keer. Klanten moesten hun ambities bijstellen, daardoor wijzelf ook. Dat had vanzelfsprekend impact op onze organisatie. Al aan het begin van het jaar waren we daar op voorbereid. Bijvoorbeeld met verschillende scenario’s, waarin veranderingen zowel intern, bij ons, als extern vandaan konden komen – bij een klant of een toezichthouder. Van elk scenario brachten we de impact in kaart.

Daarnaast hebben we een gedegen opleidingsplan opgesteld. Met onder meer een uitgebreide e-learning over de Wtp – opgesteld door een extern instituut – en eigen opleidingen op basis van onze producten- en dienstencatalogus, zorgen we dat medewerkers straks goed met de nieuwe processen en systemen kunnen werken. Deze opleiding is inmiddels gevolgd door de programmamanagers, directie en medewerkers die direct voor Stap werken.

• Onze kernactiviteit: we administreren pensioenrechten voor pensioenfondsen en andere pensioenuitvoerders, en voeren namens deze klanten de pensioencommunicatie uit.
• Onze diensten: administratie, communicatie, klantbediening, onderzoek en advies.
• Onze klanten: ondernemings- en bedrijfstakpensioenfondsen, een premiepensioeninstelling, een algemeen pensioenfonds en een verzekeraar, en hun deelnemers en werkgevers.
• Actief in: Nederland.
• Onze leveranciers en ketenpartners: ICT-, financiële en logistieke dienstverleners, adviesbureaus en vermogensbeheerders.

Risicostrategie (inclusief risicobereidheid)

Een risicostrategie bevat doorgaans deze elementen:

• Strategische, tactische en operationele doelstellingen die een organisatie nastreeft.
• De risicobereidheid bij het nastreven van die strategische, tactische en operationele doelstellingen.

Onze risicostrategie is erop gericht om de beslissingen die we nemen, binnen de grenzen van de risicobereidheid te laten vallen. Deze grenzen stelt de directie jaarlijks vast. De risicobereidheid geeft de mate aan waarin onze directie bereid is risico’s te nemen om de strategie te realiseren en welke risicobereidheidsgrenzen per risicothema gelden. Dit is uitgewerkt in Risk Appetite Statements, die we jaarlijks herijken. 

Risicocultuur

Mensen en hun gedrag bepalen of we ons risicomanagement kunnen verankeren. Daarom is het belangrijk dat alle medewerkers basiskennis hebben van risicomanagement en risicobewustzijn. Deze cultuur bevorderen we met bewustwordingsactiviteiten. Hiermee, en met onze gedragscodes, staan we stil bij factoren die gedrag kunnen beïnvloeden én van belang zijn voor zowel het realiseren van onze doelen als voor het beantwoorden van de eisen en verwachtingen van onze stakeholders. Medewerkers krijgen door de activiteiten ook meer inzicht in de risico’s verbonden aan hun werk, en leren hoe zij zelf risico’s kunnen herkennen en beheersen. 

Risicomanagementproces

De risicomanagementcyclus bevat een aantal stappen voor risicobeoordeling: risico-identificatie, risico-assessments en risicorespons. Met deze stappen zorgen we ervoor dat we de relevante risico’s voor onze organisatie in kaart brengen, dat we ze beoordelen op kans van optreden en mogelijke impact op de organisatie, en dat we bepalen welke risicoreactie past bij onze risicobereidheid.

De risicoschaal is een instrument dat we bij risicoanalyses gebruiken voor het beoordelen van de risico’s. Op basis van kans en impact werken we met 4 classificaties: laag, gemiddeld, hoog en zeer hoog.

Naast de reguliere risicoanalyses op bijvoorbeeld pensioenprocessen en projecten, voert onze directie jaarlijks een strategische risicoanalyse uit. Deze analyse heeft als doel de belangrijkste risico’s – financiële, niet-financiële en emerging risico’s– die het behalen van de strategische doelstellingen bedreigen, te identificeren, beoordelen en beheersen.

De directie en het management zijn verantwoordelijk voor het bepalen van passende beheersingsmaatregelen om te bewaken dat de risico’s binnen de risicobereidheidsgrenzen blijven. In de hele organisatie zijn op elk niveau en in alle functies beheersingsmaatregelen ingebed, gericht op de onderkende risico's binnen de verschillende processen. 

Verantwoording

We leggen expliciet verantwoording af over de beheersing van de processen die onze klanten aan ons uitbesteden. De belangrijkste verantwoordingsdocumenten – die toezien op de pensioenuitvoering aan onze klanten – zijn het ISAE 3402-rapport, ISAE 3000-rapport, ISO-certificaten, het In control-statement, de servicelevel agreement (SLA)-rapportage en de niet-financiële risicorapportage.

De directie legt in de interne niet-financiële risicorapportage elk kwartaal verantwoording af over de ontwikkeling van het risicoprofiel en de risicobeheersing. In deze rapportage wordt onder andere het risicoprofiel vergeleken met de risicobereidheid. Daarmee geeft de directie inzicht in de mate waarin zij binnen en buiten de grenzen van de risicobereidheid acteert om de organisatiedoelstellingen te bereiken. De tweede lijn geeft een risico-opinie op de gerapporteerde risicoprofielen.

De niet-financiële risicorapportage wordt inhoudelijk behandeld in de Risk en Compliance Committee, in het directieoverleg en in de raad van commissarissen.

De interne niet-financiële risicorapportage is de basis voor de niet-financiële risicorapportage voor klanten. Dit is een generieke niet-financiële risicorapportage over onze risicobeheersing. Deze rapportage stellen we elk kwartaal op en geeft klanten inzicht in de risicobeheersing over de aan ons uitbestede dienstverlening.

Daarnaast stelt de directie elk kwartaal een In control-statement (ICS) op. Hierin laten we op basis van afgesproken prestatie-indicatoren zien hoe het staat met de interne beheersing. Het ICS is mede gebaseerd op het framework van risicomanagement voor pensioenfondsen.

Risicoprofiel boekjaar 2024

In 2024 liet ons risicoprofiel geen onacceptabele risico’s zien. De transitie naar het nieuwe stelsel, veranderingen in wet- en regelgeving en de impact hierop op de (ICT-) organisatie, vraagt om continue aandacht voor relevante risicothema’s. Een aantal risicothema’s lichten we hieronder verder toe.

Transitie nieuw pensioenstelsel

De voorbereidingen voor de overgang van onze klanten naar het nieuwe stelsel zijn in volle gang. Met een projectmatige aanpak via plateauplanningen gaan de pensioenfondsen één-voor-één beheerst over naar het nieuwe stelsel. We houden pensioenfondsen continu op de hoogte van de voortgang van dit programma en de wijze waarop we de risico’s in dit programma beheersen.

Onderdeel van de transitie is de beheerste overgang naar een nieuw ICT-landschap: een essentiële succesfactor om de administratie voor de nieuwe regelingen goed in te richten én voor het vertrouwen in onze dienstverlening. Daarom nemen we beheersing en assurance al bij de ontwikkeling en bouw van processen in ons nieuwe administratiesysteem Plexus mee: in control by design. Ons eerstelijns en tweedelijns risicomanagement werkt samen met de externe accountant (niet zijnde de jaarrekeningaccountant) om te komen tot assurance vóór livegang.

Digitale weerbaarheid en ICT-risico’s

Goed functionerende ICT is essentieel voor de uitvoering van bedrijfsprocessen en het behalen van bedrijfsdoelstellingen. Risico's die afbreuk doen aan betrouwbare ICT-processen, -systemen en -prestaties willen we zoveel mogelijk voorkomen. Eventuele risico’s bij het inzetten van ICT-middelen en adoptie van moderne technologie, worden daarom goed begrepen en afdoende beheerst. De data die aan ons zijn toevertrouwd, beschermen we tegen securitybedreigingen.

We ondernemen voortdurend actie om onze digitale weerbaarheid te optimaliseren. Zo signaleren we relevante bedreigingen, mitigeren we kwetsbaarheden in ICT-componenten en in de organisatie en voldoen we aan wet- en regelgeving. In 2024 hebben we grote stappen gezet in ons project waarmee we de DORA-vereisten voor onze klanten implementeerden. We vertaalden DORA naar beleid, procesbeschrijvingen, procedures en aanvullende producten.

Uitbesteding

We ontwikkelen ons naar een regieorganisatie. Daarmee wordt het beheersen van uitbestedingsrisico’s rond cybercrime en afhankelijkheid van (ICT-)leveranciers steeds belangrijker. Om de risico’s rond uitbestedingen te beheersen, gebruiken we een uitbestedingsraamwerk.

Integriteit

Als betrouwbare en integere pensioenuitvoeringsorganisatie vermijden wij handelingen die afbreuk doen aan de wettelijke en maatschappelijke verantwoordelijkheden die gelden voor financiële instellingen. We hebben een omvangrijke set aan maatregelen ingericht om risico's te mitigeren. We borgen de expliciete integratie van onze kernwaarden en gedrag in jaarplannen, teamafspraken en de individuele beoordelingscyclus. We bewaken de betrouwbaarheid en integriteit van ons handelen met pre- en in-employment screening en de integriteit van de bedrijfsvoering met online awareness en compliance monitoringprogramma's.

Jaarlijks voeren we een systematische integriteitsrisicoanalyse uit om de ontwikkeling van deze risico's te beoordelen en waar nodig bij te sturen. Het is onze plicht de privacy van onze medewerkers, onze klanten, hun deelnemers en werkgevers te beschermen, zoals vastgelegd in de Algemene verordening gegevensbescherming (AVG). We hebben interne beheersmaatregelen ingericht die periodiek in een privacy-audit beoordeeld worden door een externe accountant (niet zijnde de jaarrekeningaccountant). In 2024 waren er 27 datalekmeldingen bij de Autoriteit Persoonsgegeven. Er zijn geen boetes opgelegd naar aanleiding van deze datalekmeldingen.

Financial crime-risico’s

Als pensioenuitvoeringsorganisatie lopen we financial crime-risico's, waaronder witwassen en financiering van terrorisme. We zijn ons bewust van onze rol in de bestrijding hiervan, zoals vastgelegd in de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft). Fraude en diefstal van binnen of buiten onze organisatie doen afbreuk aan onze betrouwbaarheid, reputatie en aan een veilige werkomgeving. Met adequate functiescheidingen, vier-ogen-controles, procuratie en autorisatieschema's en aansluitingscontroles treffen we op alle inkomende en uitgaande geldstromen voldoende maatregelen om fraude te minimaliseren.

We volgen het preventieve en detectieve beleid van a.s.r., met onder meer gedragscodes, pre- en in employment screening en klokkenluidersregelingen. De a.s.r.-gedragscode is verplicht voor alle in- en externe medewerkers en is beschikbaar op het intranet van a.s.r. en op asrnederland.nl.

We hebben beheersingsmaatregelen genomen om te voldoen aan de geldende wet- en regelgeving. Deze maatregelen zijn er ook op gericht om onze klanten goed te beschermen. Om fraude te voorkomen, hebben we daarnaast verschillende mitigeren maatregelen genomen. In 2024 heeft de directie geen signalen ontvangen die wezen op interne fraude. Er was dan ook geen reden om een onderzoek te starten naar fraude of mogelijke overtredingen van regels.

Uitvoering reguliere dienstverlening

Het programma Wtp vraagt veel van onze medewerkers, ook in de reguliere dienstverlening. Vooral op de senior medewerkers wordt een groot beroep gedaan. Daardoor neemt ook de druk op het op orde houden van de reguliere dienstverlening toe. Dit risico heeft niet geleid tot verminderde prestaties.

Klantrelatie

De relatie met onze klanten is goed tot zeer goed. We houden klanten effectief op de hoogte van de realisatie van het programma Wtp via dialoogsessies en in individuele klantgesprekken. We luisteren naar de (wensen van) klanten, geven daar waar mogelijk invulling aan en zijn open en transparant.